HOME情報セキュリティ資料・報告書・出版物調査・研究報告書情報セキュリティ技術動向調査(2010 年下期)

本文を印刷する

情報セキュリティ

情報セキュリティ技術動向調査(2010 年下期)

7 RPKIを用いたルーティング・セキュリティの動向

木村 泰司

1. RPKIとリソース証明書の展開

  リソースPKI(以下、RPKIと呼ぶ)は、IPアドレスなどのアドレス資源の利用権利を示す電子証明書(以下、リソース証明書と呼ぶ)を発行する仕組みである。リソース証明書にはIPアドレスやAS番号が記載されており、正しく割り振られたアドレスであることを示している。リソース証明書はインターネットにおける経路広告を始めるときに、そのIPアドレスが登録と異なる不正なものではないことを示したり、ISP(インターネットサービスプロバイダー)などにおけるルータで受信されたインターネットの経路情報が本来の正しいものであることを確認したりするために使うことができる。詳しくは本タスクグループの以前の報告を参照されたい[1]
  2010年度後半、インターネット経路制御の仕組みにおける公開鍵暗号技術を用いたセキュリティの仕組みであるRPKIが展開してきた。本稿ではその展開状況について述べる。

2. すべてのRIRにおけるリソース証明書の提供

  インターネットのアドレス資源を管理しているRIR [1]では、リソース証明書の提供に取り組んできており、2011年1月、すべての5つのRIRで提供が開始した。2011年2月3日にIANAのIPv4アドレスプールから最後の5つの/8が割り振られ、IPv4アドレスのIANAプールが枯渇したが、このIANAプールの枯渇より前にすべてのRIRでリソース証明書の提供が開始したことになる。各RIRのRPKIに関するWebページのURLを以下に示す。

 

3. IETFにおけるルータとの連携に関わる標準化と実装の状況

  IETF SIDR WG(Secure Inter-Domain Routing WG)[2]では、BGPルータでRPKIを利用するためのプロトコルであるRPKI/Routerプロトコルが提案されており[3]、一部では実装が開始された。このプロトコルは、trusted cacheと呼ばれるリソース証明書やROA(Route Origin Authorization)の検証結果を持つサーバとBGPルータの間のプロトコルで、BGPルータでRPKI関連の処理を行わないことでBGPルータの処理内容をシンプルに保つことができる。いよいよRPKIがインターネットにおけるセキュアな経路制御に利用できる技術が実装され始めたことになる。
  また北京で行われた第79回IETF [4]の期間中、RPKIの実装を持ち寄って相互運用性を確認する会合が開かれた。特に決まった時間は設けられず、IETFの期間中、好きな時間にターミナルルームに集まって実装を持ち寄る形で検証作業が行われた。この会合はISCのRPKI testbed ML参加者が中心となっているが、ISCの実装の他にもBBN Technologies社やAPNIC、RIPE NCC [1]の実装なども検証が行われていた。RPKI testbedでわかっているRPKIのリポジトリ(発行されたリソース証明書等を公開するサーバ)の一覧と、発行数などが以下のWebページにまとめられている。


 
  • rcynic summary
    http://www.hactrn.net/opaque/rcynic.html
    ※rcynicはリソース証明書などをリポジトリから収集し検証するプログラム。
    本Webページでは定期的にrcynicが実行され、結果が表にまとめられている。

  今後、ISP事業者などにおいてもRPKIの実装を利用し、技術検証が行われる活動が国際的に行われていくことが考えられる。

以上

参考文献

[1]

国際的に5つに分けられた地域のIPアドレスやAS番号の登録管理を行っている組織で、APNIC(アジア太平洋地域)、ARIN(北米及び中米地域)、RIPE NCC(ヨーロッパ地域)、LACNIC(ラテンアメリカ地域)、AfriNIC(アフリカ地域)がある。日本のIPアドレスやAS番号の登録管理を行っているJPNICは、APNICからアドレスの割り振りを受けている。

[2]

Secure Inter-Domain Routing (sidr)
  http://datatracker.ietf.org/wg/sidr/charter/

[3]

The RPKI/Router Protocol,
  http://tools.ietf.org/id/draft-ymbk-rpki-rtr-protocol-06.txt

[4]

IETF 79 - Beijing, China
  http://www.ietf.org/meeting/79/index.html

 

目次へ 次へ